- 委員会のQ&Aは、委託先の個人データの取扱状況の把握について、現地に赴くことは考えられる手段ですが義務付けられているわけではなく、委託する個人データの内容や規模に応じて適切な方法（口頭による確認も含む）を講じれば足りるとしています（Q5-9）。
- 委託元が法の求める水準を超える措置を講じていても、委託先はこれと同等の措置を講じることまで法により義務付けられず、法の求める水準の安全管理措置を講じれば足りると解されます（Q5-10）。クラウドサービスと保守サービスは、提供事業者が個人データを取り扱うことになっているかが、委託として監督する必要があるかの判断の基準です（Q7-53・Q7-55）。
委員会のQ&A（Q5-9・Q5-10・Q7-53・Q7-55）
| 項目 | 公式の記載 |
|---|---|
| Q5-9 の問 | 「委託先における個人データ取扱状況の把握」に関して、委託元が委託先に立入検査等を行うことは義務ですか。 |
| Q5-9 の答（1） | 法第22条に基づく委託先の監督の一環として、委託先における個人データの取扱状況を把握することが必要であり、その手段として、必要に応じて個人データを取り扱う場所に赴くことも考えられますが、これが義務付けられているわけではなく、取扱いを委託する個人データの内容や規模に応じて適切な方法（口頭による確認も含む。）を講じれば足りるものと考えられます。 |
| Q5-10 の問 | 委託元が、法第23条が求める水準を超える高い水準の安全管理措置を講じている場合、委託先は、これと同等の水準の措置を講じる必要がありますか。 |
| Q5-10 の答（1） | 委託元が法第23条が求める水準を超える高い水準の措置を講じている場合に、委託先はこれと同等の措置を講じることまで法により義務付けられるわけではなく、法律上は、委託先は法第23条が求める水準の安全管理措置を講じれば足りると解されます。 |
| Q7-53 の問 | 個人情報取扱事業者が、個人データを含む電子データを取り扱う情報システムに関して、クラウドサービス契約のように外部の事業者を活用している場合、個人データを第三者に提供したものとして、「本人の同意」（法第27条第１項柱書）を得る必要がありますか。または、「個人データの取扱いの全部又は一部を委託」（法第27条第５項第１号）しているものとして、法第25条に基づきクラウドサービス事業者を監督する必要がありますか。 |
| Q7-53 の答（1） | クラウドサービスには多種多様な形態がありますが、クラウドサービスの利用が、本人の同意が必要な第三者提供（法第27条第１項）又は委託（法第27条第５項第１ 号）に該当するかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。 |
| Q7-53 の答（2） | 当該クラウドサービス提供事業者が、当該個人データを取り扱わないこととなっている場合には、当該個人情報取扱事業者は個人データを提供したことにはならないため、「本人の同意」を得る必要はありません。 |
| Q7-53 の答（3） | また、上述の場合は、個人データを提供したことにならないため、「個人データの取扱いの全部又は一部を委託することに伴って・・・提供される場合」（法第27条第５項第１号）にも該当せず、法第25条に基づきクラウドサービス事業者を監督する義務はありません。 |
| Q7-53 の答（4） | 当該クラウドサービス提供事業者が当該個人データを取り扱わないこととなっている場合の個人情報取扱事業者の安全管理措置の考え方についてはＱ7－54参照。 |
| Q7-53 の答（5） | 当該クラウドサービス提供事業者が、当該個人データを取り扱わないこととなっている場合とは、契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます。 |
| Q7-53 の答（6） | なお、法第28条との関係についてはＱ12－3参照。 |
| Q7-55 の問 | 個人データを含む電子データを取り扱う情報システム（機器を含む。）の保守の全部又は一部に外部の事業者を活用している場合、個人データを第三者に提供したものとして、「本人の同意」（法第27条第１項柱書）を得る必要がありますか。または、「個人データの取扱いの全部又は一部を委託することに伴って・・・提供」（法第27条第５項第１号）しているものとして、法第25条に基づき当該事業者を監督する必要がありますか。 |
| Q7-55 の答（1） | 当該保守サービスを提供する事業者（以下本項において「保守サービス事業者」という。）がサービス内容の全部又は一部として情報システム内の個人データを取り扱うこととなっている場合には、個人データを提供したことになり、本人の同意を得るか、又は、「個人データの取扱いの全部又は一部を委託することに伴って・・・提供」（法第27条第５項第１号）しているものとして、法第25条に基づき当該保守サービス事業者を監督する必要があります。 |
| Q7-55 の答（2） | （例） |
| Q7-55 の答（3） | ○個人データを用いて情報システムの不具合を再現させ検証する場合 |
| Q7-55 の答（4） | ○個人データをキーワードとして情報を抽出する場合 |
| Q7-55 の答（5） | 一方、単純なハードウェア・ソフトウェア保守サービスのみを行う場合で、契約条項によって当該保守サービス事業者が個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等には、個人データの提供に該当しません。 |
| Q7-55 の答（6） | （例） |
| Q7-55 の答（7） | ○システム修正パッチやマルウェア対策のためのデータを配布し、適用する場合 |
| Q7-55 の答（8） | ○保守サービスの作業中に個人データが閲覧可能となる場合であっても、個人データの取得（閲覧するにとどまらず、これを記録・印刷等すること等をいう。）を防止するための措置が講じられている場合 |
| Q7-55 の答（9） | ○保守サービスの受付時等に個人データが保存されていることを知らされていない場合であって、保守サービス中に個人データが保存されていることが分かった場合であっても、個人データの取得を防止するための措置が講じられている場合 |
| Q7-55 の答（10） | ○不具合の生じた機器等を交換若しくは廃棄又は機器等を再利用するために初期化する場合等であって、機器等に保存されている個人データを取り扱わないことが契約等で明確化されており、取扱いを防止するためのアクセス制御等の措置が講じられている場合 |
| Q7-55 の答（11） | ○不具合の生じたソフトウェアの解析をするためにメモリダンプの解析をする場合であって、メモリダンプ内の個人データを再現しないこと等が契約等で明確化されており、再現等を防止するための措置が講じられている場合 |
| Q7-55 の答（12） | ○個人データのバックアップの取得又は復元を行う場合であって、バックアップデータ内の当該個人データを取り扱わないことが契約等で明確化されており、取扱いを防止するためのアクセス制御等の措置が講じられている場合 |
出典: 個人情報保護委員会「ガイドライン（通則編）に関するQ&A Q5-9」、個人情報保護委員会「ガイドライン（通則編）に関するQ&A Q5-10」、個人情報保護委員会「ガイドライン（通則編）に関するQ&A Q7-53」、個人情報保護委員会「ガイドライン（通則編）に関するQ&A Q7-55」（確認日 2026-10-25）。
条番号の表記について
Q5-9の答は、委託先の監督を「法第22条」と書いています。現行の法律（e-Gov法令検索）では、委託先の監督は第25条です。同じQ&AでもQ5-10やQ7-53は、第23条・第25条と、現行の番号で書いています。Q&Aの文言は、そのまま載せています。
このページで確認していないこと
個別の委託が法に違反するか、クラウドや保守の契約が委託に当たるかは、このサイトでは判断しません。
判断が必要なときは、個人情報保護委員会の相談窓口や、弁護士などの資格者に確認してください。
- Q&Aの他の項目（Q7-54のクラウドと安全管理措置、Q12-3の外国にある第三者への提供など）は、読んでいません。
- Q&Aは更新されることがあります。最新の内容は、個人情報保護委員会のページで確認してください。